Phishing-Simulation für Mitarbeiter in Kanzleien: Was sie bringt – und was sie anrichtet, wenn sie falsch aufgesetzt ist
Inhaltsverzeichnis
Veröffentlicht: 17. Oktober 2026 · Lesezeit: ca. 12 Minuten
34,3 Prozent – so viele Beschäftigte klicken im Schnitt auf Phishing-Tests, wenn ihr Unternehmen noch kein Training durchgeführt hat. Nach zwölf Monaten kontinuierlicher Schulung sinkt dieser Wert auf 4,6 Prozent (KnowBe4, 2024). Das ist keine kleine Verschiebung – das ist der Unterschied zwischen einem offenen Einfallstor und einer belastbaren Schutzlinie. Und für eine Kanzlei, in der täglich Mandantendaten, Jahresabschlüsse und anwaltliche Korrespondenz verarbeitet werden, ist dieses Einfallstor besonders kostspielig. Was diese Zahlen nicht zeigen: Wie schnell eine schlecht geplante Phishing-Simulation das Vertrauen im Team zerstört – und warum der richtige Aufbau entscheidet.
Eine Phishing-Simulation Mitarbeiter ist heute das wirkungsvollste Instrument, um menschliche Sicherheitslücken in einer Kanzlei messbar zu machen – und zu schließen. Doch der Schritt vom Wunsch zur Umsetzung scheitert regelmäßig an denselben Fehlern: fehlende DSGVO-Grundlage, kein Betriebsrat eingebunden, generische Simulationsmuster, die mit der realen Bedrohungslage nichts mehr gemein haben.
Steuer- und Anwaltskanzleien stehen dabei unter besonderem Druck. § 203 StGB verpflichtet zur Verschwiegenheit, DATEV-Zugänge und beA-Postfächer sind hochwertige Angriffsziele, und Geschäftsführer erhalten laut CYBERsicher Lagebild 2025 der Transferstelle Cybersicherheit im Mittelstand durchschnittlich 57 gezielte Phishing-Versuche pro Jahr. Kanzleimitarbeitende, die täglich unter Fristendruck arbeiten, sind in solchen Momenten besonders anfällig.
Dieser Beitrag führt Sie Schritt für Schritt durch den gesamten Aufbau: von der rechtlichen Vorbereitung über die erste unangekündigte Baseline-Simulation bis zur dokumentierten Auswertung – so, wie es NIS2 und die tägliche Kanzleipraxis erfordern.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Anteil Unternehmen, die alle Beschäftigten zu IT-Sicherheit schulen | Nur 24 % | Bitkom / BSI-Lagebericht 2025 |
| Klickrate auf Phishing-Tests ohne vorheriges Training | 34,3 % der Beschäftigten | KnowBe4 2024 |
| Klickrate nach 12 Monaten kontinuierlichem Training | 4,6 % der Beschäftigten | KnowBe4 2024 |
| KI-personalisierte Phishing-Mails erzielen gegenüber generischen Mails | 3–5× höhere Klickraten | Transferstelle Cybersicherheit, CYBERsicher Lagebild 2025 |
Was Sie am Ende erreicht haben – und warum sich der Aufwand wirklich lohnt
Eine strukturierte Phishing-Simulation Mitarbeiter liefert am Ende drei Dinge, die in Steuer- und Anwaltskanzleien gleichermaßen zählen: einen messbaren Sicherheitsgewinn, eine belastbare Dokumentation für Aufsichtsbehörden und ein Team, das Angriffe erkennt – auch unter dem Druck des Fristenkalenders. Das klingt nach großem Aufwand. In der Praxis ist die Grundstruktur nach ein bis zwei Nachmittagen eingerichtet, wenn die Vorarbeit stimmt.
Der konkrete Nutzen teilt sich in zwei Ebenen auf. Für die Kanzleileitung: Versicherungen und Aufsichtsbehörden verlangen zunehmend Nachweise über durchgeführte Awareness-Maßnahmen. Mit NIS2 (in Deutschland seit Dezember 2025 verbindlich, Hinweis: aktuelle Details dazu finden Sie auf BSI – IT-Grundschutz für Unternehmen) sind dokumentierte Schulungsmaßnahmen mit messbaren Ergebnissen keine Empfehlung mehr, sondern Nachweispflicht für betroffene Unternehmen. Für das Team: Wer einmal selbst auf eine Simulation hereingefallen ist und sofort eine erklärende Schulungsseite sieht statt eine Abmahnung, versteht IT-Sicherheit auf eine andere Weise.
Für das ISO/IEC 27001 zertifizierte IT-Systemhaus – TTG GmbH ist die Phishing-Simulation Mitarbeiter kein Einzelprojekt, sondern Teil eines kontinuierlichen Awareness-Zyklus. Folgende Ergebnisse sollten Sie nach zwölf Monaten erwarten können:
- Klickrate auf simulierte Phishing-Mails unter 10 % – idealerweise unter 5 %
- Dokumentierte Trainingsquote über alle Mitarbeitenden, abrufbar für Cyber-Versicherung und NIS2-Prüfung
- Rollen mit erhöhtem Risiko (Partner, Buchhaltung, Empfang) gesondert ausgewertet und engmaschiger getestet
- Messbarer Rückgang von Rückfragen bei echten Phishing-Versuchen – Mitarbeitende melden statt zu klicken
Was dieser Prozess ausdrücklich nicht leisten kann: er ersetzt keine technischen Schutzmaßnahmen wie Spamfilter, MFA oder Endpoint-Schutz. Er ergänzt sie – und macht sie erst wirksam, wenn der Mensch an der richtigen Stelle zweimal nachdenkt.
Rechtliche und organisatorische Voraussetzungen klären, bevor die erste Mail rausgeht
Viele Kanzleien starten die Phishing-Simulation Mitarbeiter direkt mit der technischen Einrichtung – und stolpern dann über rechtliche Fragen, die im Nachhinein kaum noch sauber zu lösen sind. Wer hier drei Wochen Vorlaufzeit investiert, spart sich erheblichen Ärger.
Die wichtigste Weiche: DSGVO-Konformität. Da bei Phishing-Simulationen personenbezogene Klick- und Öffnungsdaten erhoben werden, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Plattformanbieter. Prüfen Sie außerdem, ob die Daten ausschließlich in EU-Rechenzentren verarbeitet werden – viele US-Anbieter verwalten ihre europäischen Instanzen physisch in Deutschland oder Irland, aber das müssen Sie sich schriftlich bestätigen lassen.
Für Kanzleien gilt zusätzlich: Der Dienstleister, der Ihre Simulation durchführt, erhält zumindest temporär Einblick in interne Mailstrukturen und ggf. Mitarbeiterlisten. Das berührt § 203 StGB. Eine reine AVV-Vereinbarung reicht hier nicht aus – Sie benötigen eine berufsrechtlich saubere Verschwiegenheitsvereinbarung, die explizit auf die anwaltliche oder steuerberatende Tätigkeit Bezug nimmt. Klären Sie das mit Ihrer Berufskammer, bevor Sie den Dienstleistervertrag unterschreiben.
Folgende Punkte sollten vor dem Start abgehakt sein:
- AVV nach Art. 28 DSGVO mit dem Simulationsanbieter abgeschlossen und EU-Rechenzentrum schriftlich bestätigt
- Verschwiegenheitsvereinbarung mit berufsrechtlichem Bezug (§ 203 StGB) vereinbart
- Betriebsrat oder Mitarbeitervertretung frühzeitig eingebunden – nicht nach dem Start
- Alle Mitarbeitenden schriftlich darüber informiert, dass Simulationen stattfinden werden (Zeitpunkt offen lassen)
- Interne Richtlinie oder Betriebsvereinbarung zum Umgang mit Simulationsergebnissen erstellt
- Plattformwahl: EU-Anbieter bevorzugen, z. B. SoSafe (Deutschland), oder US-Anbieter mit nachgewiesener DSGVO-Konformität wie KnowBe4 EU-Instanz
Die IT-Sicherheitslösungen der TTG GmbH begleiten diesen Klärungsprozess – von der Vertragsprüfung bis zur Plattformeinrichtung. Unserer Erfahrung nach unterschätzen besonders kleine Kanzleien den Zeitbedarf für die Betriebsratsabstimmung. Planen Sie dafür mindestens zwei Wochen ein.
Schritt 1: Phishing-Simulation Mitarbeiter als Baseline – messen, bevor Sie schulen
Ohne Ausgangsmessung kein nachweisbarer Fortschritt. Die erste Phishing-Simulation Mitarbeiter sollte deshalb unangekündigt stattfinden – bevor das erste Schulungsmodul startet. Nur so erhalten Sie einen ehrlichen Wert, der als Vergleichsbasis für alle späteren Messungen dient und im NIS2-Kontext dokumentiert werden kann.
Für Steuer- und Anwaltskanzleien empfehlen wir für die Baseline eine mittelschwere Vorlage: nicht die offensichtliche „Sie haben gewonnen“-Mail, aber auch keine hochpersonalisierte Spear-Phishing-Attacke mit Unternehmensjargon. Das Ziel der ersten Simulation ist ein realistischer Durchschnittswert, keine Maximaltreffer-Quote.
Konkrete Einrichtungsschritte auf gängigen Plattformen (KnowBe4, SoSafe):
- Alle Mitarbeitenden in der Plattform anlegen – idealerweise per CSV-Import aus dem Active Directory oder DATEV-Benutzerverwaltung
- Abteilungsgruppen anlegen: Anwälte/Steuerberater, Sachbearbeitung, Empfang/Sekretariat, Geschäftsführung – getrennte Auswertung ist später entscheidend
- Simulationsvorlage wählen: mittleres Schwierigkeitsniveau, typischer Business-Kontext (z. B. gefälschte Nachricht von DATEV-Support oder Bundessteuerverwaltung)
- Kampagnenzeitraum auf 5–7 Werktage setzen, Versand zu variierenden Uhrzeiten konfigurieren
- Landing-Page nach Klick konfigurieren: kurze, nicht beschämende Erklärungsseite mit Tipps zur Erkennung – kein Vorwurf, nur Information
- Ergebnisse ausschließlich auf Abteilungsebene auswerten, keine Einzelpersonen in Besprechungen benennen
Ein Hinweis zur technischen Infrastruktur: Prüfen Sie vorab, ob Ihr Mailgateway oder Spamfilter Simulationsmails blockiert. Auf Plattformen wie KnowBe4 können Sie die IP-Ranges der Simulationsserver in der Allowlist Ihres Mailfilters eintragen – auf Sophos Email Gateway unter Policies → Allow/Block Lists, in Microsoft 365 Defender unter Tenant Allow/Block List. Ohne diese Freigabe landen viele Simulationsmails im Spam und das Ergebnis ist wertlos. Die sichere IT-Infrastruktur für KMU – TTG GmbH übernimmt diese Konfiguration im Rahmen der Plattformeinrichtung.
Schritt 2: Schulungsmodule verknüpfen und Kadenz festlegen
Die Baseline steht – jetzt beginnt der Teil, der aus einer einmaligen Aktion ein dauerhaftes Programm macht. Entscheidend ist, dass die Phishing-Simulation Mitarbeiter nicht losgelöst von Schulungsinhalten läuft. Wer nach einer Simulation klickt und nichts lernt, klickt beim nächsten Mal wieder.
Moderne Plattformen verbinden Simulation und Training automatisch: Wer auf eine simulierte Phishing-Mail klickt, wird unmittelbar auf ein kurzes Lernmodul (3–5 Minuten) weitergeleitet. Das ist didaktisch deutlich wirksamer als ein Quartals-Webinar, weil der Lernmoment direkt an die konkrete Erfahrung geknüpft ist.
Empfohlene Kadenz für Kanzleien:
| Mitarbeitergruppe | Simulationsfrequenz | Warum |
|---|---|---|
| Gesamtes Kanzleiteam | Monatlich (nach Einlaufphase) | Regelmäßiger Lerneffekt, NIS2-Dokumentation |
| Partner / Geschäftsführung | Alle 3–4 Wochen, erhöhte Schwierigkeit | 57 gezielte Phishing-Versuche/Jahr laut CYBERsicher Lagebild 2025 |
| Buchhaltung / Lohnbüro | Alle 3–4 Wochen, Fokus CEO-Fraud und Zahlungsaufforderungen | Direkter Zugang zu DATEV Unternehmen online und Bankverbindungen |
| Empfang / Assistenz | Monatlich, Fokus Anhänge und gefälschte Lieferanten | Hohe Mailvolumen, breiter Absenderkreis |
Wichtige Konfigurationsdetails auf KnowBe4 und SoSafe:
- Automatisierte Kampagnen einrichten (Smart Groups auf KnowBe4 oder Zielgruppenregeln auf SoSafe) – manuelle Kampagnenpflege skaliert nicht
- Schwierigkeitsgrad alle 3 Monate erhöhen: Beginn mit allgemeinen Mustern, nach zwei Quartalen auf Spear-Phishing mit Kanzlei-Kontext wechseln
- Schulungsmodule auf Deutsch und mit Branchenbezug auswählen – generische englische Module erzielen geringere Abschlussquoten
- Erinnerungsautomatik für nicht abgeschlossene Module aktivieren (Fristenkalender in Kanzleien ist besetzt – Module werden sonst verschoben)
- Ergebnisse monatlich in einem fixen Format exportieren und archivieren (CSV + PDF-Report) – für NIS2 und Cyber-Versicherung
Die IT-Dienstleistungen der TTG GmbH umfassen die vollständige Plattformkonfiguration inklusive Smart-Group-Einrichtung und automatisierter Berichtsarchivierung.
Schritt 3: Simulationen auf KI-Niveau heben – was generische Vorlagen nicht mehr leisten
KI-generierte Phishing-Mails erzielen gegenüber allgemeinen Mustern eine drei- bis fünfmal höhere Klickrate – das belegt das CYBERsicher Lagebild 2025 der Transferstelle Cybersicherheit im Mittelstand. Wer seine Phishing-Simulation Mitarbeiter nach zwölf Monaten noch immer mit denselben generischen Vorlagen betreibt, bildet die reale Bedrohungslage nicht mehr ab. Dasselbe gilt für Kanzlei-spezifische Angriffe: Eine gefälschte Mail mit dem Absender „DATEV-Kundenservice“ oder eine vermeintliche Anfrage über das beA-Postfach trifft eine Steuer- oder Anwaltskanzlei deutlich gezielter als eine allgemeine Paketbenachrichtigung.
Ab Monat sieben bis neun sollten Sie deshalb auf personalisierte Vorlagen umstellen:
- Kanzleiinterne Begriffe einbauen: Fristenkalender, Jahresabschluss, DATEV SmartLogin, RA-MICRO-Lizenz – je vertrauter der Kontext, desto realistischer der Test
- Absendernamen aus tatsächlich genutzten Systemen verwenden (Steuerverwaltung, DATEV-Rechenzentrum, beA-Support, Mandantenportal-Anbieter)
- Aktuelle Ereignisse als Aufhänger nutzen: Änderungen der GoBD-Aufbewahrungsfristen, neue AO-Fristen, Softwareupdates – Angreifer nutzen genau diese Muster
- Auf KnowBe4 ab Plan „Diamond“ stehen KI-gestützte Vorlagengeneratoren zur Verfügung; SoSafe bietet unter „Advanced Phishing“ kontextbasierte Personalisierung
- 66 % der Betroffenen erkennen gefälschte Audioaufnahmen nicht (CYBERsicher Lagebild 2025) – integrieren Sie Vishing-Simulationen (Telefonanrufe) sobald das Mailtraining stabil läuft
Ein aktueller Hinweis zur Bedrohungslage: Microsoft hat im Oktober 2026 über 1.400 Sicherheitslücken geschlossen, darunter eine aktiv ausgenutzte Windows-Shell-Lücke. Angreifer kombinieren solche Schwachstellen häufig mit Phishing: Die gefälschte Update-Benachrichtigung landet im Postfach, der Link führt auf eine präparierte Seite. Eine gut trainierte Belegschaft erkennt dieses Muster – eine untrainierte klickt es durch.
Dokumentieren Sie nach jeder Kampagne die Vorlagenart (generisch vs. personalisiert), Schwierigkeitsstufe und Klickrate. So können Sie nachweisen, dass das Programm mit der Bedrohungslage Schritt hält. Über die TTG GmbH erhalten Sie Zugang zu branchenspezifischen Vorlagensets für Steuer- und Rechtsberufe.
Typische Stolperfallen – und wie eine saubere Vorbereitung sie verhindert
Typisch ist folgende Konstellation: Eine Kanzlei startet die Phishing-Simulation Mitarbeiter ohne vorherige Information der Belegschaft, wertet die Ergebnisse auf Personenebene aus und präsentiert die Klickraten in der nächsten Teamsitzung. Das Ergebnis: Zwei erfahrene Mitarbeitende reichen interne Beschwerden ein, der Betriebsrat verlangt den sofortigen Stopp des Programms, und das eigentlich sinnvolle Projekt ist verbrannt – bevor es irgendetwas gebracht hat. Wir sehen dieses Muster regelmäßig bei Kanzleien in Heilbad Heiligenstadt und der weiteren Region, die ohne externe Begleitung starten.
In DATEV-Umgebungen kommt eine technische Falle hinzu: Simulationsmails, die den Absender „datev-service@datev.de“ imitieren, können von DATEV-eigenen Sicherheitssystemen als Phishing erkannt und geblockt werden – was zu verfälschten Ergebnissen führt. Testen Sie Vorlagen vorab in einer isolierten Testumgebung, bevor Sie sie ausrollen.
Die häufigsten Fehler – und wie Sie sie vermeiden:
- Kein Betriebsrat eingebunden: Stimmen Sie das Programm vorab ab, schriftlich und mit definiertem Auswertungsrahmen (nur Abteilungsebene, keine Einzelpersonen)
- Simulation als Kontrollinstrument kommuniziert: Formulieren Sie den Rahmen als Kompetenzaufbau – Mitarbeitende sollen etwas lernen, nicht vorgeführt werden
- Fehlende Verschwiegenheitsvereinbarung: Prüfen Sie, ob Ihr Simulationsdienstleister eine auf § 203 StGB abgestimmte Verschwiegenheitsklausel unterzeichnet hat
- Simulationsmails im Spam: Allowlist-Einträge im Mailgateway vor dem Start setzen
- Keine Dokumentation: Exportieren Sie Ergebnisse monatlich – ohne Aufzeichnung kein NIS2-Nachweis, keine Versicherungsgrundlage
Weiterführende Orientierung bietet der BSI Lagebericht Cybersicherheit mit konkreten Empfehlungen für den Mittelstand. Die TTG GmbH begleitet Kanzleien mit über 25 Jahren Erfahrung in der Region durch den gesamten Einführungsprozess – von der Betriebsvereinbarung bis zur ersten Auswertung. Nehmen Sie jetzt unverbindlich Kontakt zur TTG GmbH auf.
Ergebnis prüfen: Woran Sie erkennen, dass das Programm wirklich funktioniert
Nach drei Monaten sollte die Phishing-Simulation Mitarbeiter erste belastbare Daten liefern. Nicht jede Verbesserung ist sofort spektakulär – aber bestimmte Signale zeigen, ob der Prozess greift oder ob nachjustiert werden muss.
Die wichtigsten Kennzahlen im Überblick:
- Klickrate (Phish-prone Percentage): Vergleichen Sie Baseline mit aktuellem Wert. Nach 12 Monaten sollte die Rate unter 10 % liegen – idealerweise, wie KnowBe4 zeigt, unter 5 %
- Melderate: Wie viele Mitarbeitende melden simulierte Phishing-Mails aktiv über die Melde-Schaltfläche (Report Phishing Button)? Eine steigende Melderate ist das stärkste Zeichen für wachsende Awareness
- Schulungsabschlussquote: Liegt diese unter 80 %, funktioniert das Erinnerungsmanagement nicht – oder die Module sind zu lang
- Risikogruppen-Entwicklung: Buchhaltung und Empfang sollten nach zwei Quartalen deutlich besser abschneiden als beim Baseline-Test
- Echte Vorfallmeldungen: Steigt die Zahl interner Meldungen echter Phishing-Versuche? Das ist der wertvollste Indikator – und für Kanzleien besonders relevant, weil über beA-Postfächer und DATEV-Zugänge echte Angriffe zunehmend gezielter formuliert sind
Für die NIS2-Dokumentation empfehlen wir ein standardisiertes Reporting-Format: monatlicher Kampagnenreport (PDF + CSV), gespeichert in einem revisionssicheren Ablagesystem nach AO-Aufbewahrungsfristen. Verknüpfen Sie die Berichte mit dem Schulungsnachweis der jeweiligen Mitarbeitenden – das ergibt eine lückenlose Nachweiskette.
Was häufig übersehen wird: Auch ein gutes Ergebnis muss interpretiert werden. Eine Klickrate von 3 % klingt stark – aber wenn dieselben drei Personen immer wieder klicken und diese Personen Zugang zu DATEV SmartLogin und Mandantenkonten haben, ist die Risikolage trotzdem ernst. Werten Sie nicht nur Zahlen aus, sondern Muster.
Unserer Erfahrung nach reicht ein jährlicher Überblicksbericht für die meisten Cyber-Versicherungen aus. Für eine NIS2-Prüfung sollten Sie jedoch in der Lage sein, jeden einzelnen Kampagnenzeitraum mit Schwierigkeitsstufe, Teilnehmergruppe und Ergebnis zu belegen.
Ihre Checkliste: So starten Sie jetzt
- Klären Sie vor dem Plattformstart, ob ein AVV nach Art. 28 DSGVO und eine auf § 203 StGB abgestimmte Verschwiegenheitsvereinbarung mit dem Anbieter vorliegen.
- Binden Sie den Betriebsrat oder die Mitarbeitervertretung ein – schriftlich und mit definiertem Auswertungsrahmen (ausschließlich Abteilungsebene).
- Informieren Sie alle Mitarbeitenden schriftlich darüber, dass Phishing-Simulationen stattfinden werden – ohne konkreten Zeitpunkt zu nennen.
- Richten Sie in Ihrem Mailgateway (Sophos, Microsoft 365 Defender o. ä.) die Allowlist für Simulationsserver-IPs ein, bevor die erste Kampagne startet.
- Führen Sie die erste Phishing-Simulation Mitarbeiter als unangekündigte Baseline durch – mittleres Schwierigkeitsniveau, alle Mitarbeitenden, getrennte Auswertung nach Abteilungen.
- Verknüpfen Sie Simulation und Schulungsmodul: Wer klickt, erhält sofort ein kurzes Lernmodul – kein Vorwurf, nur Lerninhalt.
- Exportieren Sie Kampagnenergebnisse monatlich als PDF und CSV und archivieren Sie diese revisionssicher nach AO-Aufbewahrungsfristen.
- Erhöhen Sie nach zwei Quartalen den Schwierigkeitsgrad auf Spear-Phishing mit kanzleispezifischem Kontext (DATEV, beA, Fristenkalender).
Häufig gestellte Fragen
Darf ich Phishing-Simulationen ohne Zustimmung des Betriebsrats durchführen?
Nein – sobald Leistungs- oder Verhaltensdaten von Mitarbeitenden erhoben werden, hat der Betriebsrat nach § 87 BetrVG ein Mitbestimmungsrecht. Das gilt auch dann, wenn Sie Ergebnisse nur auf Abteilungsebene auswerten. Holen Sie die Zustimmung vorab ein und legen Sie in einer Betriebsvereinbarung fest, welche Daten wie lange gespeichert und wie ausgewertet werden. Eine fehlende Abstimmung kann das gesamte Programm nachträglich zu Fall bringen.
Müssen wir als Kanzlei wegen § 203 StGB besondere Vorkehrungen beim Dienstleisterzugriff treffen?
Ja. § 203 StGB schützt Mandantendaten auch vor dem Zugriff externer IT-Dienstleister, wenn dieser nicht berufsrechtlich geregelt ist. Ein AVV nach DSGVO allein reicht für Steuerberater und Anwälte nicht aus – Sie benötigen zusätzlich eine Verschwiegenheitsvereinbarung, die explizit auf die berufliche Schweigepflicht eingeht. Klären Sie das mit Ihrer Berufskammer und lassen Sie die Vereinbarung vor Vertragsschluss prüfen.
Wie aufwändig ist die Einrichtung, wenn wir DATEV im Einsatz haben?
DATEV selbst ist von der Simulationsplattform technisch getrennt – die Integration betrifft vor allem den Benutzerimport (Mitarbeiterlisten aus DATEV Administrationsmodul als CSV) und die Absender-Allowlist im Mailgateway. Der Einrichtungsaufwand liegt typischerweise bei einem halben Tag für die Plattformkonfiguration und einem weiteren halben Tag für Mailgateway-Anpassungen. Kritisch: Testen Sie Simulationsvorlagen, die den DATEV-Absender imitieren, vorab in einer isolierten Umgebung.
Was kostet ein solches Phishing-Simulationsprogramm für eine Kanzlei mit 15 Mitarbeitenden?
Gängige Plattformen wie KnowBe4 oder SoSafe kosten für 15 Lizenzen je nach Funktionsumfang zwischen 800 und 2.000 Euro pro Jahr. Hinzu kommt einmaliger Einrichtungsaufwand, wenn ein externer Dienstleister die Konfiguration übernimmt. Im Vergleich: Ein einziger erfolgreicher Phishing-Angriff, der Mandantendaten kompromittiert, erzeugt regelmäßig Kosten im fünf- bis sechsstelligen Bereich – von Haftungsfragen ganz abgesehen.
Wie weise ich das Programm gegenüber unserer Cyber-Versicherung nach?
Cyber-Versicherungen verlangen zunehmend dokumentierte Awareness-Maßnahmen als Voraussetzung für Versicherungsschutz oder günstigere Prämien. Exportieren Sie monatliche Kampagnenreports (Zeitraum, Teilnehmergruppe, Klickrate, Schulungsabschlussquote) und heben Sie diese nach den AO-Aufbewahrungsfristen auf. Fragen Sie Ihren Versicherer konkret, welches Format er für den Nachweis akzeptiert – manche verlangen zusätzlich eine Bestätigung des eingesetzten Plattformanbieters.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie, wie viele Ihrer Mitarbeitenden heute auf eine gefälschte DATEV- oder beA-Mail hereinfallen würden – und könnten Sie das gegenüber Ihrer Cyber-Versicherung belegen?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
